Von der britischen Betrugspräventionsstelle Cifas erfasste unbefugte SIM-Swaps sprangen 2024 um 1.055% auf fast 3.000 Fälle und stiegen 2025 um weitere 38%, während in den USA die Zahl der SIM-Swap-Beschwerden beim FBI 2024 auf 982 fiel, nach einem Höchststand von 2.026 im Jahr 2022. Diese beiden Zahlen weisen in entgegengesetzte Richtungen, und beide stimmen: SIM-Swapping ist ein Einstiegsdelikt, dessen Schäden meist unter anderer Bezeichnung verbucht werden. Der größere Rahmen ist die Kontoübernahme (Account Takeover), die US-Verbraucher 2025 laut Javelin Strategy and Research mehr als 15 Milliarden US-Dollar kostete und die Cifas im selben Jahr mit mehr als 78.000 Fällen im Vereinigten Königreich zählt. Das breitere Bild der Identitätskriminalität zeigen unsere Statistiken zu Identitätsdiebstahl. Wir haben Daten des FBI Internet Crime Complaint Center, der FTC, der FCC, von Cifas, Javelin Strategy and Research, dem NIST, Forschern der Princeton University, Telekommunikationsregulierern in Indien, Australien, Spanien und Belgien sowie von Commsrisk berichtete Gerichtsakten zusammengeführt.
TL;DR
- 982 SIM-Swap-Beschwerden und 25.983.946 US-Dollar Verlust wurden 2024 dem FBI gemeldet, nach 2.026 und 72.652.571 US-Dollar im Jahr 2022 (FBI IC3 Internet Crime Reports).
- 1.611 SIM-Swap-Beschwerden und mehr als 68 Millionen US-Dollar Verlust im Jahr 2021, gegenüber 320 Beschwerden und rund 12 Millionen US-Dollar für 2018 bis 2020 zusammen (FBI IC3 PSA, Februar 2022).
- Unbefugte SIM-Swaps im Vereinigten Königreich stiegen 2024 um 1.055% auf fast 3.000 Fälle (Cifas Fraudscape 2025).
- Unbefugte SIM-Swaps stiegen 2025 um weitere 38% (Cifas Fraudscape 2026).
- Mehr als 78.000 Fälle von Kontoübernahmen im Vereinigten Königreich 2025, 18% aller Meldungen (Cifas Fraudscape 2026).
- 48% der Kontoübernahmen im Vereinigten Königreich betrafen 2024 Mobilfunkkonten (Cifas, Mai 2025).
- Die US-Verluste durch Kontoübernahmen überstiegen 2025 15 Milliarden US-Dollar bei 6 Millionen betroffenen Verbrauchern (Javelin Strategy and Research, 2026 Identity Fraud Study).
- 1.008.597 Beschwerden und 20,877 Milliarden US-Dollar Gesamtverlust wurden 2025 dem FBI gemeldet, ein Plus von 26% (FBI-IC3-Bericht 2025).
- Mehr als 99% der SIM-Wechsel- und Port-out-Anfragen sind legitim (FCC Report and Order 23-95, November 2023).
- 17 Websites, bei denen ein SIM-Swap allein genügte, um ein Konto zu übernehmen (Lee u. a., Princeton, SOUPS 2020).
- 27.000 unbefugte SIM-Swaps bei T-Mobile zwischen 2016 und Februar 2020, laut Beweismaterial in einem Schiedsverfahren über 33 Millionen US-Dollar (Commsrisk, September 2025).
- Indien verlangt seit dem 1. Juli 2024 eine Wartezeit von 7 Tagen vor der Rufnummernmitnahme nach einem SIM-Ersatz (TRAI über Commsrisk).
1. Gemeldete SIM-Swap-Verluste in den USA: Ein Höhepunkt 2022, dann ein langer Rückgang
Das FBI ist die einzige US-Behörde, die jedes Jahr eine SIM-Swap-Zeile veröffentlicht, und ihre Reihe hat eine ungewöhnliche Form. Die Mitteilung des Internet Crime Complaint Center vom Februar 2022 zählte 320 Beschwerden mit rund 12 Millionen US-Dollar Verlust für 2018 bis 2020 zusammen und dann 1.611 Beschwerden und mehr als 68 Millionen US-Dollar Verlust allein 2021. Die gemeldeten Verluste erreichten 2022 ihren Höhepunkt mit 72.652.571 US-Dollar bei 2.026 Beschwerden und sind seither jedes Jahr gefallen, auf 25.983.946 US-Dollar im Jahr 2024 (FBI IC3 2024 Internet Crime Report).
Der Rückgang will sorgfältig gelesen werden. Die Beschwerden sanken von 2022 bis 2024 um 51,5% (von 2.026 auf 982), die Verluste fielen aber schneller, um 64,2% (von 72,65 Millionen auf 25,98 Millionen US-Dollar), sodass der durchschnittliche gemeldete Verlust pro Beschwerde von rund 35.860 US-Dollar im Jahr 2022 auf rund 26.460 US-Dollar im Jahr 2024 sank (unsere Division der IC3-Gesamtwerte). Der Wert von 2023, rund 45.394 US-Dollar pro Beschwerde, war der Höchststand. Ein SIM-Swap ist meist der erste Schritt eines Krypto-Diebstahls, einer Kontoübernahme bei der Bank oder einer E-Mail-Kompromittierung, und Opfer melden häufig das Endergebnis statt der Methode, sodass die IC3-Zeile misst, was als SIM-Swap eingestuft wurde, nicht jeden Angriff, der einen nutzte.
| Metrik | Wert | Quelle |
|---|---|---|
| SIM-Swap-Beschwerden und Verluste, 2018 bis 2020 zusammen | 320 Beschwerden, rund 12 Millionen US-Dollar | FBI IC3 PSA 220208, Februar 2022 |
| SIM-Swap-Beschwerden und Verluste, 2021 | 1.611 Beschwerden, mehr als 68 Millionen US-Dollar | FBI IC3 PSA 220208, Februar 2022 |
| SIM-Swap-Beschwerden und Verluste, 2022 | 2.026 Beschwerden, 72.652.571 US-Dollar | FBI IC3 Internet Crime Report |
| SIM-Swap-Beschwerden und Verluste, 2023 | 1.075 Beschwerden, 48.798.103 US-Dollar | FBI IC3 Internet Crime Report 2024 |
| SIM-Swap-Beschwerden und Verluste, 2024 | 982 Beschwerden, 25.983.946 US-Dollar | FBI IC3 Internet Crime Report 2024 |
| Veränderung der Beschwerden, 2022 bis 2024 | -51,5% (2.026 auf 982) | Berechnet aus FBI-IC3-Daten |
| Durchschnittlicher gemeldeter Verlust pro Beschwerde, 2022 / 2023 / 2024 | Rund 35.860 / 45.394 / 26.460 US-Dollar | Berechnet aus FBI-IC3-Daten |
Kontexthinweis: Der IC3-Bericht 2025 weist SIM-Swapping in seiner Aufschlüsselung der Hauptbedrohungen mit rund 10% aus, hinter Datenlecks (39%) und Ransomware (36%) und auf einer Ebene mit Malware (9%) und Botnetzen (7%), wie CyberScoop berichtet. Die Zeile mit den SIM-Swap-Beschwerden für 2025 konnten wir in einer abgerufenen Kopie des Berichts nicht lesen, weshalb die obige Reihe 2024 endet.
2. Kontoübernahmen: das Delikt, das SIM-Swaps speisen
Wenn SIM-Swap-Verluste klein aussehen, liegt das daran, dass das Geld unter einer anderen Überschrift fließt. Die Verluste durch Kontoübernahmen in den USA überstiegen 2025 15 Milliarden US-Dollar und betrafen 6 Millionen Verbraucher, ein Anstieg der Opferzahl um 18% gegenüber 2024 (Javelin Strategy and Research, 2026 Identity Fraud Study). Das ergibt rund 2.500 US-Dollar pro Opfer (15 Milliarden US-Dollar geteilt durch 6 Millionen), eine Größenordnung unter der durchschnittlichen IC3-SIM-Swap-Beschwerde, was zu dem Muster passt, dass die teuersten Rufnummern-Entführungen beim FBI gemeldet werden, während routinemäßige Karten- und Bankkontoübernahmen von den Herausgebern absorbiert werden.
Die gesamte Betrugsrechnung steigt beim FBI weiter, auch wenn die Verbraucherbefragung von Javelin sinkende Gesamtverluste zeigt. Das IC3 erhielt 2025 1.008.597 Beschwerden mit 20,877 Milliarden US-Dollar Verlust, ein Plus von 26% gegenüber 16,6 Milliarden US-Dollar im Jahr 2024 (SecurityWeek). Javelin dagegen maß, dass die Gesamtverluste durch Identitätsbetrug und Betrugsmaschen 2025 auf 38 Milliarden US-Dollar fielen, 9 Milliarden weniger, wobei der Identitätsbetrug bei 27,3 Milliarden US-Dollar stagnierte und die Verluste durch Betrugsmaschen um 45% auf 10,7 Milliarden US-Dollar sanken. Ältere Opfer tragen einen überproportionalen Anteil am FBI-Gesamtwert, ein Thema, das wir in unseren Statistiken zu Betrug an Senioren verfolgen.
| Metrik | Wert | Quelle |
|---|---|---|
| US-Verluste durch Kontoübernahmen, 2025 | Mehr als 15 Milliarden US-Dollar | Javelin Strategy and Research, 2026 Identity Fraud Study |
| Opfer von Kontoübernahmen, 2025 | 6 Millionen (+18% gegenüber 2024) | Javelin Strategy and Research, 2026 |
| Betrug mit neu eröffneten Konten, 2025 | 7 Milliarden US-Dollar, 5,4 Millionen Opfer (+31%) | Javelin Strategy and Research, 2026 |
| Verluste durch Identitätsbetrug und Betrugsmaschen zusammen, 2025 | 38 Milliarden US-Dollar (9 Milliarden weniger), 36 Millionen Opfer | Javelin Strategy and Research, 2026 |
| FBI-IC3-Beschwerden und -Verluste, 2025 | 1.008.597 Beschwerden, 20,877 Milliarden US-Dollar (+26%) | FBI-IC3-Bericht 2025 über SecurityWeek |
| Opfer ab 60 Jahren, 2025 | Rund 201.000 Beschwerden, 7,75 Milliarden US-Dollar (37% der Verluste) | FBI-IC3-Bericht 2025 über CyberScoop |
| Meldungen zu Identitätsdiebstahl bei der FTC, 2024 | Mehr als 1,1 Millionen (6,5 Millionen Sentinel-Meldungen insgesamt) | FTC-Consumer-Sentinel-Daten, März 2025 |
| Anteil der Betrugsmelder, die Geld verloren, 2024 | 38% (nach 27% im Jahr 2023) | FTC-Consumer-Sentinel-Daten, März 2025 |
Kontexthinweis: Die Datenveröffentlichung der FTC vom März 2025 bezifferte die gemeldeten Betrugsverluste insgesamt für 2024 auf 12,5 Milliarden US-Dollar, ein Plus von 25%. Die FTC veröffentlicht keine SIM-Swap-Kategorie; ihre nächstliegende Bezeichnung, ‘Phone Carrier Switching’ (Wechsel des Telefonanbieters), wird in Abschnitt 6 behandelt.
3. Vereinigtes Königreich: der Sprung um 1.055% und das Zählproblem
Das Vereinigte Königreich lieferte die dramatischste SIM-Swap-Zahl des Jahrzehnts. Cifas-Mitglieder meldeten 2024 fast 3.000 unbefugte SIM-Swap-Fälle an die National Fraud Database, ein Plus von 1.055% gegenüber 289 im Vorjahr (Cifas, Mai 2025). Der Sprung ging mit einer breiteren Verschiebung hin zum Telekommunikationssektor einher: Identitätsbetrug mit Bezug zu Mobilfunkprodukten stieg um 87% auf mehr als 16.000 Fälle, unbefugte Mobilfunk-Upgrades stiegen um 96%, und 48% aller Kontoübernahmen betrafen Mobilfunkkonten. Das Update Fraudscape 2026, veröffentlicht am 12. März 2026, verzeichnete für 2025 einen weiteren Anstieg unbefugter SIM-Swaps um 38%, den Cifas auf gestohlene personenbezogene Daten und zunehmend automatisierte Angriffsmethoden zurückführt.
Das Vereinigte Königreich zeigt auch, wie fragil solche Zählungen sind. Action Fraud, die nationale Meldestelle, verzeichnete 2022 558 SIM-Swap-Meldungen, 2023 1.070 und bis Ende November 2024 2.037, grob eine Verdopplung statt eines Zehnfachsprungs. 2023 war die Action-Fraud-Zahl fast viermal so hoch wie die von Cifas, bevor sich das Verhältnis 2024 umkehrte (Commsrisk, Juli 2025). Beide Reihen stimmen in der Richtung überein; bei der Geschwindigkeit weichen sie stark voneinander ab.
| Metrik | Wert | Quelle |
|---|---|---|
| Unbefugte SIM-Swaps, 2024 | Fast 3.000 Fälle (+1.055%, von 289 im Jahr 2023) | Cifas Fraudscape 2025 |
| Unbefugte SIM-Swaps, 2025 | +38% gegenüber dem Vorjahr | Cifas Fraudscape 2026 |
| SIM-Swap-Meldungen bei Action Fraud | 558 (2022), 1.070 (2023), 2.037 (bis Ende November 2024) | Action Fraud über Commsrisk, Juli 2025 |
| Fälle von Kontoübernahmen, 2024 | Über 74.000 (+76%) | Cifas Fraudscape 2025 |
| Kontoübernahmen mit Mobilfunkkonten, 2024 | 48% | Cifas, Mai 2025 |
| Identitätsbetrug mit Bezug zu Mobilfunkprodukten, 2024 | Mehr als 16.000 Fälle (+87%) | Cifas, Mai 2025 |
| Meldungen zu unbefugten Mobilfunk-Upgrades, 2024 | +96% | Cifas, Mai 2025 |
| Anteil der Kontoübernahmen bei Personen ab 61 Jahren, 2024 | 29% (Meldungen +90% gegenüber dem Vorjahr) | Cifas, Mai 2025 |
Kontexthinweis: Die Cifas-Daten spiegeln Fälle wider, die von den Mitgliedsorganisationen gemeldet wurden, sodass ein neues Mitglied oder eine Änderung der Meldepraxis die Zahlen stark bewegen kann. Betrachten Sie die 1.055% als Signal für eine Veränderung auf kleiner Basis, nicht als Maß für das gesamte Aufkommen im Vereinigten Königreich.
4. Die National Fraud Database 2025: Kontoübernahme wird zum Standardzug
Die Cifas-Zahlen für 2025 zeigen, wie Kriminelle vom Eröffnen gefälschter Konten zum Kapern echter Konten wechseln. 2025 wurden mehr als 78.000 Fälle von Kontoübernahmen (Facility Takeover) gemeldet, 18% aller Meldungen und 6% mehr als 2024, während die Meldungen zu Identitätsbetrug um 3% auf 242.000 sanken (Cifas Fraudscape 2026). Fälle mit Bezug zu Mobilfunkprodukten dominierten weiterhin und machten zusammen mit Online-Handel und persönlichen Kreditkarten rund 90% aller Übernahmen aus.
Die Taktiken werden leiser. Cifas berichtet, dass Kriminelle Benachrichtigungen deaktivieren und Kontodaten schrittweise ändern, um der Entdeckung zu entgehen, und KI nutzen, um schädliche Nachrichten zu verbessern und Angriffe auf Zugangsdaten zu automatisieren, dasselbe Werkzeugset, das hinter den Betrugsanrufen mit Identitätsvortäuschung in unseren Statistiken zu Voice-AI-Betrug steht. Die Gesamtmeldungen erreichten einen Rekord: mehr als 444.000 Fälle, über 1.200 pro Tag, nach 421.000 im Jahr 2024 (Cifas Fraudscape 2025).
| Metrik | Wert | Quelle |
|---|---|---|
| Gesamtfälle in der National Fraud Database, 2025 | Mehr als 444.000 (+6%), über 1.200 pro Tag | Cifas Fraudscape 2026 |
| Gesamtfälle in der National Fraud Database, 2024 | 421.000 (+13%) | Cifas Fraudscape 2025 |
| Fälle von Kontoübernahmen, 2025 | Mehr als 78.000 (18% der Meldungen, +6%) | Cifas Fraudscape 2026 |
| Anteil von Mobilfunk, Online-Handel und Kreditkarten an den Übernahmen, 2025 | Rund 90% | Cifas Fraudscape 2026 |
| Anteil von Identitätsbetrug und Kontoübernahmen an allen Fällen, 2025 | 72% | Cifas Fraudscape 2026 |
| Meldungen zu Identitätsbetrug, 2025 | 242.000 (54% der Fälle, -3%) | Cifas Fraudscape 2026 |
| Von Cifas-Mitgliedern verhinderte Betrugsverluste | 2,1 Milliarden £ (2024), 2,4 Milliarden £ (2025) | Cifas Fraudscape 2025 und 2026 |
5. Im Netzbetreiber: Insider, Social Engineering und Gerichtsbeweise
Die meisten SIM-Swaps gelingen an einem Ladentresen oder in einem Support-Büro, und jüngste Rechtsstreitigkeiten haben dazu seltene Zahlen geliefert. In einem Schiedsverfahren gegen T-Mobile US, das mit einem Schiedsspruch über 33 Millionen US-Dollar endete, beschrieb das Beweismaterial 27.000 unbefugte SIM-Swaps beim Netzbetreiber zwischen 2016 und Februar 2020, und ein interner Bericht fand 478 Kundenkonten, auf die über die kompromittierte Zugangsberechtigung eines einzigen Mitarbeiters zugegriffen wurde (Commsrisk, September 2025). Ein im Fall zitierter Täter behauptete, bei der Beschaffung von Mitarbeiter-Zugangsdaten eine Erfolgsquote von 90 bis 100% zu haben. Das sind Zahlen aus dem Rechtsstreit eines einzelnen Netzbetreibers, keine Branchenquote, aber sie zeigen, warum Regulierer inzwischen auf den Mitarbeiterzugriff zielen.
Das Insider-Risiko beschränkt sich nicht auf Telekommunikationsunternehmen. Bei der Société Générale in Frankreich gab ein Praktikant Kundendaten an einen SIM-Swap-Ring weiter, der von 50 Kunden mehr als 1 Million EUR stahl, wobei allen Betroffenen der Schaden erstattet wurde (Commsrisk, Juni 2025). Datenlecks bei Netzbetreibern erhöhen den Einsatz weiter: Das Datenleck bei Orange Belgium legte 850.000 Kundenkonten offen, darunter SIM-Kartennummern und PUK-Codes, woraufhin der Regulierer BIPT eine SMS-Warnung bei Port-out-Anfragen mit einem Zeitfenster von 8 Tagen zum Antworten mit STOP vorschrieb (Commsrisk, September 2025).
| Metrik | Wert | Quelle |
|---|---|---|
| Unbefugte SIM-Swaps bei T-Mobile US, 2016 bis Februar 2020 | 27.000 | Beweismaterial im Schiedsverfahren Jones v. T-Mobile über Commsrisk, September 2025 |
| Schiedsspruch zugunsten eines SIM-Swap-Opfers | 33 Millionen US-Dollar | Jones v. T-Mobile über Commsrisk, September 2025 |
| Über eine kompromittierte Mitarbeiter-Zugangsberechtigung erreichte Konten | 478 | Interner T-Mobile-Bericht über Commsrisk, September 2025 |
| SIM-Swap-Ring mit Insider bei der Société Générale | 50 Kunden, mehr als 1 Million EUR gestohlen | Le Parisien über Commsrisk, Juni 2025 |
| Datenleck bei Orange Belgium | 850.000 Kundenkonten offengelegt | BIPT und Orange Belgium über Commsrisk, September 2025 |
| Bei einem SIM-Swap-Fall bei Rogers 2021 gestohlene Bitcoin | Damals 534.000 CAD, heute rund 1,3 Millionen US-Dollar | Oberster Gerichtshof von British Columbia über Commsrisk, Juli 2025 |
| US-Klagen wegen Krypto-Diebstahls mit Vorwurf mangelhafter Sicherheit | 11 im Jahr 2023 gegenüber 20 im Jahr 2022; über 50% nennen SIM-Swaps | Bloomberg Law über Commsrisk, April 2024 |
Kontexthinweis: Mitarbeiter von Netzbetreibern bleiben ein Ziel für Social Engineering, ebenso wie Callcenter-Agenten; die Untersuchung der Lapsus$-Angriffe durch das US-amerikanische Cyber Safety Review Board (10. August 2023) befasste sich damit, wie diese Gruppe SIM-Swapping gegen große Organisationen einsetzte.
6. Regulierung und Durchsetzung: von der FCC bis zur TRAI
Die FCC-Verordnung zu SIM-Swap- und Port-out-Betrug ist die wichtigste politische Antwort der USA. Sie wurde am 15. November 2023 verabschiedet und verpflichtet Mobilfunkanbieter, vor einem SIM-Wechsel eine sichere Authentifizierung zu verwenden, Kunden sofort über SIM-Wechsel- und Port-out-Anfragen zu informieren, Kontosperren anzubieten, Mitarbeiter von Kundendaten fernzuhalten, bis der Kunde authentifiziert ist, und Aufzeichnungen zu führen (FCC Report and Order 23-95). Die Verordnung vermittelt auch eine Vorstellung von der Beschwerde-Basislinie: Die FCC erhielt 2020 rund 300 SIM-Swap- oder Port-out-Beschwerden, 2021 rund 400 und 2022 rund 500, während die FTC 2020 966 Meldungen zu ‘Phone Carrier Switching’ (Wechsel des Telefonanbieters) verzeichnete, 2021 157 und 2022 188.
Die Umsetzung kam spät. Die ursprüngliche Frist vom 8. Juli 2024 wurde durch eine FCC-Ausnahmegenehmigung vom 5. Juli 2024 verschoben, bis die Prüfung der Unterlagen durch das Office of Management and Budget abgeschlossen war; die OMB-Genehmigung erfolgte am 15. Januar 2025 (Nelson Mullins). Andere Regulierer griffen zu gröberen Mitteln: Indiens TRAI verhängte ab dem 1. Juli 2024 eine Wartezeit von 7 Tagen vor der Rufnummernmitnahme nach einem SIM-Ersatz (Commsrisk), die australische ACMA verhängte gegen Medion Australia nach neun unbefugten Wechseln eine Geldbuße von 259.440 AUD (Commsrisk), und die spanische Datenschutzbehörde AEPD hat wiederholt Bußgelder gegen Telekommunikationsunternehmen verhängt (Commsrisk).
| Metrik | Wert | Quelle |
|---|---|---|
| FCC-Beschwerden zu SIM-Swap und Port-out | Rund 300 (2020), 400 (2021), 500 (2022) | FCC Report and Order 23-95, November 2023 |
| FTC-Meldungen zu ‘Phone Carrier Switching’ | 966 (2020), 157 (2021), 188 (2022) | FTC-Consumer-Sentinel-Daten, zitiert in FCC 23-95 |
| Anteil der legitimen SIM-Wechsel- und Port-out-Anfragen | Mehr als 99% | FCC Report and Order 23-95 |
| FCC-Regeln: ursprüngliches Umsetzungsdatum / OMB-Genehmigung | 8. Juli 2024 (ausgesetzt) / 15. Januar 2025 | FCC DA 24-649; Nelson Mullins, 2025 |
| Wartezeit in Indien vor der Rufnummernmitnahme nach SIM-Ersatz | 7 Tage, ab 1. Juli 2024 | TRAI über Commsrisk, Juni 2024 |
| ACMA-Bußgeld gegen Medion Australia | 259.440 AUD; 160.000 AUD Kundenverluste; 1.697 SIM-Ersatzausgaben ohne Ausweisprüfung | ACMA über Commsrisk, Januar 2024 |
| AEPD-Bußgelder gegen spanische Telekommunikationsunternehmen | Digi 970.000 EUR in 12 Bußgeldern; Movistar 900.000 EUR in 3 | AEPD über Commsrisk, April 2024 |
Kontexthinweis: Commsrisk weist darauf hin, dass mehr als 1 von 20 aller bekannten DSGVO-Bußgelder in Europa von der AEPD gegen spanische Telekommunikationsunternehmen verhängt wurde, größtenteils wegen doppelt an Betrüger ausgegebener SIM-Karten.
7. Authentifizierung: warum die Rufnummer das schwache Glied ist
Die Geschichte der Verteidigung ist eine langsame Abkehr von der Rufnummer als Identitätsnachweis. Eine Princeton-Studie zu fünf US-Prepaid-Netzbetreibern ergab, dass sich deren Authentifizierungsabfragen aushebeln ließen, und nachdem die Autoren die Richtlinien von mehr als 140 Websites mit telefonbasierter Authentifizierung per Reverse Engineering analysiert hatten, fanden sie 17 Websites, bei denen ein SIM-Swap allein, ohne Passwort, genügte, um ein Konto zu übernehmen; neun der 17 Unternehmen ließen die Schwachstelle nach der Offenlegung unbehoben (Lee u. a., SOUPS 2020). Die Studie stammt von 2020 (die neueste verfügbare akademische Messung), ist aber die Evidenzbasis, auf die sich die FCC-Verordnung beruft.
Die Normungsgremien haben inzwischen aufgeholt. Das SP 800-63B-4 des NIST, finalisiert am 26. August 2025, belässt Out-of-Band-Codes über das öffentliche Telefonnetz in der Kategorie ‘eingeschränkt’ und besagt, dass Prüfer Risikoindikatoren wie einen SIM-Wechsel oder eine Rufnummernmitnahme prüfen sollten, bevor sie einen Code senden. Netzbetreiber stellen dieses Signal inzwischen direkt bereit: Die quelloffene CAMARA SIM Swap API, seit September 2025 in Version 2.1.0, erlaubt es einer Bank, vor dem Vertrauen in einen SMS-Code abzufragen, ob sich die SIM einer Rufnummer kürzlich geändert hat (CAMARA Project). Unsere Statistiken zur Zwei-Faktor-Authentifizierung behandeln die Verbreitung der app-basierten und Passkey-Alternativen.
| Metrik | Wert | Quelle |
|---|---|---|
| Getestete US-Prepaid-Netzbetreiber | 5, alle mit Abfragen, die sich aushebeln ließen | Lee u. a., Princeton, SOUPS 2020 |
| Analysierte Websites mit telefonbasierter Authentifizierung | Mehr als 140 | Lee u. a., SOUPS 2020 |
| Websites, die allein per SIM-Swap übernommen werden konnten | 17 | Lee u. a., SOUPS 2020 |
| Unternehmen, die die Schwachstelle nach der Offenlegung unbehoben ließen | 9 von 17 | Lee u. a., SOUPS 2020 |
| NIST-Status von Einmalcodes über das Telefonnetz | ’Eingeschränkt’ (SP 800-63B-4, 26. August 2025) | NIST SP 800-63B-4 |
| Vorgeschriebene Überprüfung der Authentifizierungsmethoden durch Netzbetreiber | Mindestens jährlich | FCC Report and Order 23-95 |
| CAMARA SIM Swap API | v2.1.0 stabil, September 2025 | CAMARA Project (Linux Foundation) |
Zusammenfassung: SIM-Swap-Betrug in Zahlen
| Metrik | Wert | Quelle |
|---|---|---|
| US-SIM-Swap-Beschwerden und -Verluste, 2024 | 982 Beschwerden, 25.983.946 US-Dollar | FBI IC3 Internet Crime Report 2024 |
| US-SIM-Swap-Höchststand, 2022 | 2.026 Beschwerden, 72.652.571 US-Dollar | FBI IC3 Internet Crime Report |
| US-SIM-Swap-Beschwerden und -Verluste, 2021 | 1.611, mehr als 68 Millionen US-Dollar | FBI IC3 PSA, Februar 2022 |
| Durchschnittlicher gemeldeter Verlust pro SIM-Swap-Beschwerde, 2024 | Rund 26.460 US-Dollar | Berechnet aus FBI-IC3-Daten |
| Anteil von SIM-Swapping an den Hauptbedrohungen, 2025 | Rund 10% | FBI-IC3-Bericht 2025 über CyberScoop |
| FBI-IC3-Gesamtverluste, 2025 | 20,877 Milliarden US-Dollar (+26%) | FBI-IC3-Bericht 2025 |
| US-Verluste durch Kontoübernahmen, 2025 | Mehr als 15 Milliarden US-Dollar, 6 Millionen Opfer | Javelin Strategy and Research, 2026 |
| Unbefugte SIM-Swaps im Vereinigten Königreich, 2024 | Fast 3.000 (+1.055%) | Cifas Fraudscape 2025 |
| Unbefugte SIM-Swaps im Vereinigten Königreich, 2025 | +38% | Cifas Fraudscape 2026 |
| SIM-Swap-Meldungen bei Action Fraud im Vereinigten Königreich, 2023 | 1.070 | Action Fraud über Commsrisk |
| Fälle von Kontoübernahmen im Vereinigten Königreich, 2025 | Mehr als 78.000 (18% der Meldungen) | Cifas Fraudscape 2026 |
| Mobilfunkanteil an den Kontoübernahmen im Vereinigten Königreich, 2024 | 48% | Cifas, Mai 2025 |
| Anteil der Kontoübernahmen bei Personen ab 61 Jahren (Vereinigtes Königreich, 2024) | 29% | Cifas, Mai 2025 |
| Verluste von US-Opfern ab 60 Jahren, 2025 | 7,75 Milliarden US-Dollar (37% des Gesamtbetrags) | FBI-IC3-Bericht 2025 |
| Unbefugte SIM-Swaps bei T-Mobile, 2016 bis 2020 | 27.000 | Beweismaterial aus dem Schiedsverfahren über Commsrisk |
| Legitimer Anteil der SIM-Wechsel- und Port-out-Anfragen | Mehr als 99% | FCC 23-95 |
| FCC-Beschwerden zu SIM-Swap und Port-out, 2022 | Rund 500 | FCC 23-95 |
| Websites, die allein per SIM-Swap übernommen werden konnten | 17 von mehr als 140 untersuchten | Princeton, SOUPS 2020 |
| Wartezeit in Indien vor der Rufnummernmitnahme nach SIM-Ersatz | 7 Tage | TRAI, Juli 2024 |
Methodik und Quellen
Jede der obigen Zahlen wurde bei der Recherche für diesen Artikel gelesen. Wo ein Primärdokument nicht direkt gelesen werden konnte (die PDFs der FBI-IC3-Jahresberichte wurden nicht als Text angezeigt, und die Seiten von fcc.gov, GSMA und IDCARE blockierten den automatisierten Zugriff), haben wir benannte Zwischenquellen verwendet, die das Originaldokument zitieren, und dies in jeder Tabelle vermerkt. SIM-Swap-Statistiken, die in Anbieter-Blogs ohne Primärquelle kursieren, darunter runde Zahlen ‘pro Opfer’ und ‘Minuten bis zur Leerung des Kontos’, wurden ausgeschlossen.
- FBI Internet Crime Complaint Center: PSA 220208, Februar 2022, 2024 Internet Crime Report (SIM-Swap-Zeilen für 2022 bis 2024 gelesen über MessageCentral und Zusammenfassungen von Efani zum Bericht), 2025 Internet Crime Report über SecurityWeek und CyberScoop
- Federal Trade Commission: Datenveröffentlichung Consumer Sentinel 2024, März 2025
- Javelin Strategy and Research: Pressemitteilung zur 2026 Identity Fraud Study, 21. April 2026
- Cifas: Fraudscape 2026, Fraudscape 2025, Mitteilung zu SIM-Swaps und Telekommunikation, Mai 2025
- Federal Communications Commission: Report and Order FCC 23-95, Order DA 24-649, Datum der OMB-Genehmigung über Nelson Mullins und Verzögerung der Umsetzung über Commsrisk
- NIST: SP 800-63B-4, August 2025
- Princeton University: Lee, Kaiser, Mayer und Narayanan, An Empirical Study of Wireless Carrier Authentication for SIM Swaps, SOUPS 2020
- CAMARA Project: SIM Swap API
- US Cyber Safety Review Board: Review of the Attacks Associated with Lapsus$, August 2023
- Commsrisk (Berichte zu Gerichtsakten, Regulierern und Action Fraud): SIM-Swap-Statistiken des Vereinigten Königreichs, T-Mobile-Schiedsverfahren, Orange Belgium und BIPT, Société Générale, Fall Rogers, Krypto-Klagen laut Bloomberg Law, 7-Tage-Regel der TRAI, ACMA-Bußgeld, AEPD-Bußgelder
- Daten-Hinweis: Die Zeile mit den SIM-Swap-Beschwerden und -Verlusten des FBI IC3 für 2025 konnte in einer abgerufenen Kopie des Berichts nicht bestätigt werden, daher endet die US-Reihe 2024; es ist zu erwarten, dass die Zeile für 2025 den Abwärtstrend der gemeldeten Verluste fortsetzt. Die IC3-Zahlen für 2022 bis 2024 wurden über Sekundärzusammenfassungen des offiziellen Berichts gelesen und stimmen darin überein. Die britischen Quellen widersprechen sich: Cifas meldet für 2024 einen Anstieg um 1.055% (von 289 auf fast 3.000), während Action Fraud grob eine Verdopplung zeigt (1.070 auf 2.037 bis Ende November 2024), und 289 x 11,55 geht nicht exakt in ‘fast 3.000’ auf, weshalb der Prozentsatz als ungefähr zu betrachten ist. Die Befragung von Javelin zeigt für 2025 sinkende Gesamtverluste durch Betrug, während die Verluste aus den FBI-IC3-Beschwerden um 26% stiegen; beide messen unterschiedliche Grundgesamtheiten (eine Verbraucherbefragung gegenüber freiwilligen Beschwerden). Die Beschwerdezahlen von FCC und FTC sowie die Princeton-Studie stammen aus den Jahren 2020 bis 2022 (die neuesten verfügbaren Daten). Die T-Mobile-Zahlen stammen aus einem einzelnen Schiedsverfahren und sind keine Branchenquote. Das genaue Umsetzungsdatum der FCC nach der OMB-Genehmigung wurde während der Recherche nicht auf einer FCC-Seite bestätigt; eine Branchenquelle nannte vor der Ausnahmeverfügung den 10. März 2025, die die Umsetzung stattdessen an die OMB-Prüfung knüpfte. Zahlen zum Einsatz von GSMA Open Gateway und Daten der australischen IDCARE waren nicht erreichbar und sind ausgeschlossen. Ein Consumer Sentinel Data Book der FTC für 2025 war auf der Open-Data-Seite der FTC noch nicht aufgeführt.
Zuletzt aktualisiert: 3. Oktober 2026. Wir aktualisieren diese Zusammenstellung vierteljährlich, und die nächste Aktualisierung wird erwartet, wenn die FTC ihr Consumer Sentinel Network Data Book 2025 veröffentlicht und Cifas sein nächstes Fraudscape-Update herausgibt.